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Geachte mevrouw G., 

Zorginstituut Nederland (ZIN) heeft Deloitte Risk Services B.V, (Deloitte) gevraagd een 
onderzoek uit te voeren naar de werkzaamheden en resultaten van het deelproject-IT inzake de 
Overdracht Burgerregeringen. Onze rapportage naar aanleiding van dit onderzoek treft u aan in 
deze brief. 

Achtergrond 

De regelingen, aangeduid als de Burgerregelingen, worden binnen afzienbare tijd overgedragen 
aan het CAK (Centraal Administratiekantoor), gevestigd in Den Haag. Het Ministerie van VWS 
beoogt hiermee toegevoegde waarde te creëren voor de burger, die dan met alle financieel 
geaarde aspecten van zorg en verzekering bij één publiek loket terecht kan. Voor de overdracht 
is een wetswijziging en dus betrokkenheid van de volksvertegenwoordiging nodig. 

De overdracht van de Burgerregelingen aan het CAK is een volledige overdracht van taken en 
wettelijke bevoegdheden. Er blijven geen mensen, middelen en taken op dit gebied achter bij 
Zorginstituut Nederland. Voor deze majeure en ingrijpende reorganisatie, is een omvangrijke 
projectorganisatie ingericht en voor elk aspect van overdracht (HR, Financiën, ICT, Organisatie 
werkprocessen. Communicatie, Wetgeving) is een deelproject benoemd, zowel aan 
Zorginstituut Nederland-zijde als aan CAK-zijde. Het project wordt aangeduid als OBR 
(Overdracht Burgerregelingen). 


Op alle opdrachten verricht door Deiottte zijn de 'Algemene Voorwaarden Dienstverlening Deloitte 
Nederland, januari 2014' gedeponeerd bij de Kamer van Koophandel onder nummer 24362837 van 
toepassing. 

Deloitte Risk Services B.V. is ingeschreven in het handelsregister van de Kamer van Koophandel te 
Rotterdam ondernummer 50340158. 
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Voor OBR zijn de volgende randvoorwaarden vastgesteld: 

1. De continuïteit van de werkzaamheden moet gegarandeerd zijn. 

2. De burger mag er weinig van merken en er in elk geval geen last van hebben. 

Tegen deze achtergrond heeft u Deloitte gevraagd een onderzoek uit voeren gericht op het 
deelproject OBR-IT van ZIN. 

Doel van het onderzoek 

De Tweede Kamer is kritisch en alert wat betreft de overdracht van deze publieksgevoelige 
taken. De minister van VWS heeft al in een eerder stadium toegezegd in het najaar 2015 een 
rapportage te zullen uitbrengen over de vorderingen van de werkzaamheden voor de 
verschillende aspecten. Het spreekt voor zich dat ICT een prominente plaats in bedoelde 
rapportage krijgt omdat het redelijk is te veronderstellen dat de Tweede Kamer maximale 
zekerstelling wil op dit gebied. Het CAK heeft recent een onderzoek laten uitvoeren of zij als 
ontvangende partij gereed is dan wel toereikende maatregelen voor continuïteit van uitvoering 
nemen/hebben genomen. 

ZIN is als overdragende partij verantwoordelijk voor de inrichting van de ICT-ondersteuning op 
de infrastructuur van het CAK en voor het treffen van adequate vangnetconstructies mocht er 
onverhoopt toch iets misgaan na de overdracht. ZIN wil daarom door een onafhankelijke en ter 
zake kundige partij een ICT-onderzoek laten uitvoeren op het reeds gerealiseerde en nog 
onderhanden overdrachtswerk en op de kwaliteit van de ontworpen vangnetconstructie. Het door 
Deloitte uitgevoerde onderzoek voorziet hierin. 

Vraagstelling, scope en reikwijdte 

Tot de scope van het onderzoek behoren alle onderdelen van het IT landschap, inclusief de 
digitale werkplek, de applicaties, databases en verschillende interfaces, die worden overgedragen 
in verband met de overdracht van de vijf Burgerregelingen. 

Het onderzoek is primair gericht op de opzet en waar moge lijk het bestaan van de maatregelen 
die ZIN heeft getroffen om de migratie juist, volledig en beheerst te laten verlopen, inclusief een 
vangnetconstructie. Secundair is het onderzoek gericht op het onderhanden werk. 

De overdracht van de uitvoeringsprocessen, financiële en verantwoordingsprocessen en de 
overgang van medewerkers vallen buiten de scope. 
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Aan pak onderzoek 

Het onderzoek is uitgevoerd met een gefaseerde aanpak, waarbij we in de voorbereidingsfase 
documentatie hebben verzameld en een beheerskader hebben opgesteld als leidraad voor het 
onderzoek. Het beheerskader is op 21 oktober 2015 in overleg met u vastgesteld. Aan de hand 
van het beheerskader hebben wij de beschikbare documentatie geanalyseerd en interviews 
gehouden met sleutelfunctionarissen binnen het project OBR en het projectmanagement aan de 
zijde van het CAK. Wij hebben het onderzoek uitgevoerd in de periode van 5 tot en met 
30 oktober 2015. 

Onze detailbevindingen hebben wij aan u gepresenteerd op 3 november 2015. De hoofdlijnen 
van de bevindingen zijn opgenomen in deze rapportage. 

Context van het onderzoek 

Op het moment van opdrachtverstrekking - eind september 2015 - was de planning van het 
project OBR gericht op een overgang van de Burgerregelingen naar het CAK per 1 januari 2016. 
Deze situatie is daarna gewijzigd. 

Bij aanvang van de werkzaamheden was duidelijk geworden dat de benodigde wetgeving voor 
de overgang op 1 januari 2016 niet beschikbaar zou zijn. Deze wetgeving wordt door ZIN als 
randvoorwaarde voor de overgang beschouwd. Daarnaast is eind september 2015 een interne 
evaluatie van het project uitgevoerd. Ook deze interne evaluatie wees uit dat een overdracht per 
1 januari 2016 niet verantwoord zou zijn. Als gevolg hiervan is een zogenoemd Go-Later besluit 
genomen en is de datum van 1 januari 2016 als overdrachtsdatum losgelaten. 

Vanaf begin oktober 2015 zijn de opdrachtgever en projectleiding van het project OBR gestart 
met de herijking van het project. Deze herijking omvat: 

• Een herevaluatie van het migratiescenario (een getrapte overgang of een overgang ineens). 

• Het bepalen van een nieuwe overdrachtsdatum (beoogde datum is 1 juli 2016). 

• Het inregelen van een ‘unfreeze’ periode om noodzakelijke wijzigingen in applicaties te 
kunnen doorvoeren. 

• Het herijken van de planningen. 

• Het herijken van de risicoanalyse en de nodig geachte fallback/vangnetconstructie. 

De herijking is op het moment van rapportage nog in volle gang. De gedetailleerde uitwerking 
van de herijkte overdracht is nog niet beschikbaar. In deze rapportage gaan we in op de 
hoofdlijnen van het nieuwe migratiescenario voor zover nu bekend. 
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Huidige stand van zaken van het deelproject OBR-IT 

Het project OBR heeft in de loop van 2015 vertraging opgelopen, waardoor de beoogde datum 
van overdracht van 1 januari 2016 niet meer haalbaar bleek. De conclusie uit de intern 
uitgevoerde readiness assessment luidt: De projectgroep maakt de inschatting dat er geen 
verantwoorde overgang per 1 januari 2016 kan plaatsvinden. Het ontbreken van de 
wetsaanpassing, onzekerheid in onderdelen van het IT project, het opnieuw moeten uitvoeren 
van ketentesten en de nog niet voldoende uitgewerkte vangnetconstructie leiden tot deze 
conclusie. 

Wij onderschrijven deze conclusie. In aanvulling hierop rapporteren we de volgende 
bevindingen die maken dat de overdracht per 1 januari 2016 niet haalbaar is: 

• De gebruikersacceptatietest is vertraagd, omdat er nog er geen complete en representatieve 
acceptatieomgeving beschikbaar is. 

• De omvang van de benodigde wijzigingen bij RINIS is onderschat. Wij begrijpen dat RINIS 
de hierbij uitgevoerde (iteratieve) werkzaamheden nog verwerkt in nog te testen scripts. 
Daarnaast is er verschil van inzicht tussen het project en RINIS over de representativiteit 
van de acceptatieomgeving. De ketentest met alle betrokken partijen moet opnieuw worden 
ingepland. Dit is logistiek een complexe opgave. 

• De afspraken tussen ZIN en CAK bleken onvoldoende SM ART te zijn uitgewerkt, waardoor 
onduidelijkheid of verschil van inzicht bestaat op een aantal punten, waaronder de door te 
voeren wijzigingen op het applicatielandschap ter voorbereiding op de integratie in het CAK 
landschap, de werkplekproblematiek, de wijze van testen en acceptatie door het CAK. 

• De werkplekomgeving is nauw verbonden met het over te dragen applicatielandschap van 
ZIN. Hierbij is gedurende het project gebleken dat de werkplek van ZIN aanzienlijk afwijkt 
van de werkplek van CAK. Deze problematiek is laat onderkend en moet binnen het te 
kiezen migratiescenario worden opgelost. 
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• Een aantal componenten van het ZIN applicatielandschap wordt vervangen door nieuwe 
componenten die door het CAK worden ontwikkeld. De ontwikkeling heeft vertraging 
opgelopen, waardoor de gebruikersacceptatietest vertraagt. In de uitwerking van het 
migratiescenario moet duidelijk worden of en wanneer deze applicaties worden ingevoerd. 

• De uitvoering van de splitsing van data in DMS en Coda loopt achter op de oorspronkelijke 
planning. De risico’s liggen in volledigheid, integriteit en vertrouwelijkheid van de 
datamigratie. 

• Het oorspronkelijke technische faliback scenario wordt niet praktisch uitvoerbaar geacht. De 
in te richten vangnetconstructie is nog niet in detail uitgewerkt en kan daarom nog niet op 
haalbaarheid worden getoetst. 

• In oktober is afscheid genomen van de deelprojectleider IT. De invulling van deze cruciale 
positie is nog onderhanden. 

• Migratie en transitiedraaiboeken zijn nog onderhanden; dit vergt een samenspel van de 
business (productie-afdelingen) en IT. 

Herijking van het project OBR 

Als onderdeel van de herijking wordt overwogen de ICT omgeving te migreren naar het 
rekencentrum van het CAK, voorafgaand aan de formele overdracht per 1 juli 2016. Deze 
getrapte overdracht ligt nog niet vast in een document met een formele status. 
Volledigheidshalve volgt hieronder een beknopte beschrijving: 

Als eerste stap wordt het huidige applicatielandschap van ZIN overgedragen naar het OBR 
platform in het rekencentrum van het CAK. Na deze overdracht wordt gewerkt vanaf de 
kantoorautomatisering van ZIN en onder verantwoordelijkheid van ZIN. Op deze wijze kan eerst 
de goede werking van de technische overdracht worden beproefd. 

Aan het eind van de tweede stap wordt de bestuurlijke verantwoordelijkheid overgedragen aan 
het CAK. Op dat moment wordt een aantal wijzingen doorgevoerd, waaronder het doorvoeren 
van de naamswijziging, het omschakelen naar de kantoorautomatisering van CAK en het 
vervangen van enkele componenten van het applicatielandschap door nieuwe componenten die 
op dit moment worden ontwikkeld door het CAK en de wisseling van de bank, als gevolg van 
het terugtrekken van de huidige bank (RBS) uit Nederland. 
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In aanvulling op de getrapte overdracht voorziet ZIN een vangnetconstructie bestaande uit twee 
componenten: 

• Een beperkte technische fallback. Hierbij bestaat na stap 1 voor een korte periode van enkele 
dagen nog een technische mogelijkheid om terug te vallen op de huidige omgeving van ZIN. 
Bij stap 2 is geen sprake van een technische fallback omdat de technische migratie al heeft 
plaatsgevonden. 

• Een taskforce die tijdens en na het moment van overdracht - op basis van een uitgewerkt 
draaiboek - intensief controles uitvoert op het berichtenverkeer, de verwerkbaarheid daarvan 
en de output, zodat eventuele tekortkomingen in een vroeg stadium worden ontdekt en 
kunnen worden hersteld. Deze taskforce is samengesteld uit vertegenwoordigers van de 
business (productie) en de IT organisatie van ZEN en CAK, onder leiding van de business. 

Hierbij houdt ZIN de formele verantwoordelijkheid voor de Burgerregelingen tot het moment 
van de formele overdracht (beoogde datum 1 juli 2016). Het project OBR is een gezamenlijke 
verantwoordelijk van ZIN en CAK, waarbij het accent in de projectverantwoordelijkheid 
verschuift na de eerste stap van ZIN naar het CAK, rekening houdend met de formele 
verantwoordelijkheid van ZIN tot 1 juli 2016. Dit betekent dat ZIN tot die datum initiatieven of 
voorstellen die de reguliere productie of de formele overdracht in gevaar kunnen brengen moet 
kunnen weigeren. 

Advies inzake het migratiescenario 

Ten opzichte van het scenario van een overdracht ineens zien wij in het hiervoor geschetste 
scenario en bijbehorende vangnetconstructie per saldo grote voordelen: 

• Het getrapte scenario reduceert de complexiteit van de overdracht en geeft meer 
mogelijkheden voor herstelacties op technisch gebied zonder dat merkbaar is voor de burger. 
De getrapte overdracht geeft daardoor meer zekerheid en verlaagt de risico’s. 

• Ook maakt de getrapte overdracht het mogelijk de aansturing en verantwoordelijkheden van 
beide partijen goed te laten aansluiten op de uit te voeren taken. 

• Nadelen van dit scenario liggen in de extra (test)werkzaamheden en een langere freeze 
periode met mogelijke risico’s voorde komende OHI 16.01 release. 

Voor een afgerond advies over het migratiescenario ontbreekt op dit moment een gedetailleerde 
uitwerking. Deze gedetailleerde uitwerking is noodzakelijk om de overdracht in detail te 
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doordenken en uit te schrijven, zodat de kans op verrassingen gedurende de overdracht wordt 
geminimaliseerd. 

Wij tekenen hierbij aan dat het tijdpad krap is als de migratie op 1 juli 2016 moet zijn afgerond. 
Dit legt druk op de projectorganisatie om de detailuitwerking voortvarend op te pakken, zodat 
tijdig inzicht bestaat in de haalbaarheid van de overdrachtsdatum per 1 juni 2016. 

Gezien de stand van de zaken van de herijking en de gesprekken hierover met CAK en RfNIS 
bevelen wij aan de volgende documenten eind november 2015 afgerond te hebben: 

• Gedetailleerde beschrijving van het scenario. 

• Een bij gestelde risicoanalyse met beheersmaatregelen. 

• Bijgestelde project(deel)plannen en een bijgestelde mijlpalenplanning. 

• Een gedetailleerde uitwerking van de vangnetconstructie. 

• Hoofdlijnen van de migratie- en transitiedraaiboeken (gericht op de periode voor, tijdens en 
na de overdracht). 

Voor het gedetailleerd uitwerken van de migratie- en transitiedraaiboeken kunnen de werkbare 
weken van december 2015 worden benut. 

Samenvattend adviseren wij de genoemde documenten zo spoedig mogelijk, in lijn met 
bovenstaand tijdpad, in onderlinge samenhang en in nauwe samenwerking met het CAK en 
RINIS en de ketenpartners uit te werken en deze, eind 2015, onafhankelijk te laten onderzoeken 
op haalbaarheid. 

Overige aanbevelingen 

Op basis van onze werkzaamheden hebben wij overigens de volgende aanbevelingen inzake 
OBR-1T: 

• Maak als onderdeel van het nieuwe migratiescenario exact duidelijk welke afwijkingen ten 
opzichte van het principe as-is aanvaardbaar worden geacht en of deze als onderdeel van stap 
1, stap 2 of na de bestuurlijke overdracht worden uitgevoerd. Vanuit het oogpunt van 
beheersing zou het uitgangspunt hierbij moeten zijn dat de afwijkingen van de as-is situatie 
tot een minimum beperkt dienen te worden. 

• Intensiveer de samenwerking tussen CAK en ZIN. Stem op leidinggevend niveau de 
verwachtingen af en concretiseer deze in afspraken over verantwoordelijkheden, acceptatie en 
resourcing. Versterk ook de samenwerking op uitvoerend niveau door uitwisseling van 
medewerkers in deelprojecten. Formaliseer deze samenwerking in de project-governance. 
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* Zet een geïntegreerde planning op voor de projecten bij ZIN en CAK. Zorg voor 
permanente afstemming van deze planningen op projectniveau. Baseer daarop een 
gezamenlijke mijlpaalplanning. Verzorg een geïntegreerde rapportage over de voortgang 
van alle projecten voor een goed overzicht over de afhankelijkheden. Borg de 
beschikbaarheid van de sleutelfunctionarissen in beide projectorganisaties. 

* Maak afspraken over de acceptatie door CAK op het gebied van testaanpak, 
acceptatiecriteria en verantwoordelijkheden en leg deze afspraken vast in protocollen en 
pas waar nodig de testaanpak hierop aan. Sluit een hosting overeenkomst met het CAK 
voor de periode tussen stap 1 en stap 2. 

* Werk een gedetailleerde procedure voor de ‘unfreeze’ periode uit, met als uitgangspunt dat 
alleen de hoognodige wijzigingen worden doorgevoerd, die geen risico’s voor OBR 
opleveren. Overweeg een second opinion bij twijfel over de impact van een change. 

* Formaliseer het werkpakket ‘digitale werkplek CAK’ in nauwe samenwerking met het 
CAK. 

* Leg de afspraken met RINIS op bestuurlijk en uitvoerend niveau vast. Stel vóór de nieuw 
uit te voeren ketentest vast dat RINIS maatregelen heeft getroffen die een stabiele en 
representatieve acceptatieomgeving waarborgen. Betrek RINIS nauw bij de 
projectorganisatie. Neem een vertegenwoordiger van RINIS op in de te vormen taskforce. 

► Breidt het testplan voor de RINIS ketentesten uit met controles gericht op de 
verwerkbaarheid van de berichten door ketenpartners. 

’ Richt een Quality Assurance functie in voor OBR, die proactief de voortgang van alle 

aspecten van het project monitort en de kwaliteit van opgeleverde producten onderzoekt op 
basis van duidelijke kwaliteits- en acceptatiecriteria. Idealiter rapporteert de QA functie 
aan de opdrachtgever van het project OBR. 

Stem het configuratiemanagement, zoals tot op heden vormgegeven binnen het project, af 
op de eisen die het CAK stelt in het kader van de overdracht. 

1 Blijf investeren in de samenwerking tussen business en IT, vooral op het vlak van de 
transitie- en migratiedraaiboeken, beschikbaarheid van tools en macro’s die niet door IT 
worden beheerd en de testwerkzaamheden. 
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Tot slot 

Onze diensten zijn niet uitgevoerd in het kader van een assurance-opdracht en derhalve wordt 
geen zekerheid verstrekt omtrent de getrouwheid van de informatie. Het is de 
verantwoordelijkheid van de (geautoriseerde) gebruikers van ons rapport om te beoordelen of de 
uitgevoerde diensten in het perspectief van het geheel van de hen ter beschikking staande 
informatie en hun risicoperceptie aan de door hen te stellen eisen voldoen. 

De verspreiding van de rapportage is beperkt tot intern gebruik binnen ZrN, 
het ministerie van VWS en het CAK voor het hierboven beschreven doel. De rapportage mag 
uitsluitend in zijn geheel en na voorafgaande schriftelijke toestemming van Deloitte aan derde 
partijen verstrekt worden. Het is niet toegestaan aan onze rapportage te refereren in uitingen naar 
derden, zonder onze voorafgaande schriftelijke toestemming. 

Wij danken u en uw medewerkers voor de prettige samenwerking bij dit onderzoek. Wij zijn 
graag bereid onze bevindingen en aanbevelingen nader toe te lichten. 

Hoogachtend, 

Deloitte Risk Services B.V. 


drs. R.B. Stout RE RA CISA CISSP 


